신청은 핵심 관리자가 깃허브 anthropics/oss-scanner 저장소에 project.yaml(저장소 주소·담당자 이메일)과 Dockerfile 을 넣은 PR 을 올리는 방식이고, OSS-Fuzz 와 비슷하게 인프라·사용자 보안에 큰 영향을 주는 기존 프로젝트를 건별로 골라요. 스캐너는 인터넷이 끊긴 격리 VM 에서 프로젝트를 빌드해 분석하고, 재현 방법과 패치안을 담은 보고서를 비공개 이메일로 보내며(PGP 암호화 선택 가능), 첫 검사 뒤에는 정기적으로 다시 검사해요. 다만 보고서는 사람이 검토하지 않은 모델 산출물이라 오탐이 있을 수 있고, 앤트로픽은 이 미검증 결과에 90일 공개 유예를 걸지 않는다고 밝혔어요.
용어 풀이
- PR
- 풀 리퀘스트. 저장소에 변경을 반영해 달라는 요청
- VM
- 가상 머신. 실제 컴퓨터와 분리된 가상의 컴퓨터
- PGP
- 이메일 등을 암호화하는 공개 키 방식
- OSS-Fuzz
- 구글이 운영하는 오픈소스 자동 퍼징 검사 서비스
운영자 인사이트
앤트로픽은 6개월 동안 후보 취약점 2만 9,000여 건을 찾았지만 사람이 검토한 것은 약 6,000건이라고 밝혔어요. 신청 전에 미검증 보고서를 걸러 낼 인력이 있는지 먼저 따져 보고, 저장소가 권하는 threat_model.md 로 위협 모델을 적어 두면 심각도 과장이나 위협 모델 오해를 줄이는 데 도움이 돼요.
여러 관점으로 보기
- 신청 절차와 보고 방식 앤트로픽 레드팀 글은 등록 필수 항목(repo·primary_contact·Dockerfile), 이메일 묶음 전달, 90일 공개 유예를 걸지 않는다는 방침을 적었어요. Anthropic Red Team
- 등록 저장소 아파치 2.0 저장소로, projects/<이름> 디렉토리를 PR 로 추가하면 병합 뒤 빌드와 검사가 시작되고 PGP 키를 넣으면 보고서를 암호화해 보내요. GitHub
- 상위 발표 같은 날 나온 사이버 미션 글은 OSS Scanner 와 함께 크라우드스트라이크·팔로알토 네트웍스 등 11곳이 참여하는 핵심 기반 시설 방어 프로그램을 열었고, OSS Scanner 를 무료로 유지하는 재원이 8월에 만든 방어자 지원 기금이라고 밝혔어요. Anthropic